Projet

Ordonnance de la ChF sur le vote électronique RO …

l’utilisation sûre et indépendante des composants de contrôle, les systèmes d’exploitation utilisés ou les serveurs utilisés correspondent aux meilleurs standards reconnus.

26.3.2 Compétences : Le contrôle est effectué par des experts en cryptographie et

en exploitation de systèmes hautement sécurisés. Il est commandé par la Chancellerie fédérale.

26.3.3 Date du contrôle :

 Un contrôle complet est effectué avant la première mise en service ;

 Le contrôle est répété après deux ou trois ans ;

 Un nouveau contrôle est effectué chaque fois qu’une modification majeure est opérée, notamment :

- après une modification du protocole cryptographique ;

- lorsqu’il est renoncé à recourir à des mécanismes garantissant le fonctionnement sûr de composants fiables au sens du ch. 2, ou que des modifications majeures sont apportées à ces mécanismes ;

- en cas de modification majeure des processus ou de l’infrastructure.

 Si des nouvelles versions de composants de base sont utilisés (nouveau serveur, patchs pour le système d’exploitation ou pour le logiciel qui concourt à l’utilisation sûre et indépendante de composants fiables au sens du ch. 2), il n’est pas nécessaire d’effectuer un nouveau contrôle pour autant que les composants de base correspondent toujours aux meilleurs standards reconnus.

26.4 Contrôle de la protection contre les tentatives d’intrusion dans l’infrastructure (art. 10, al. 1, let. d)

26.4.1 Objet : Il est examiné si des experts mandatés par la Chancellerie fédérale

parviennent dans le cadre de la participation à un test à pénétrer dans l’infrastructure du système en ligne et ainsi à se ménager l’accès à des données importantes ou à prendre le contrôle de fonctions importantes.

Les tests sont réalisés sur la base de vulnérabilités potentielles découvertes à la suite d’une analyse méthodique des documents qui ont été publiés, en vertu notamment de l’art. 11. Les experts examinent au moins les vulnérabilités répertoriées dans l’Open Web Application Security Project (OWASP).

26.4.2 Compétences : Le contrôle est effectué par des experts en sécurité. Il est

commandé par la Chancellerie fédérale.

26.4.3 Date du contrôle :

 Un contrôle complet est effectué avant la première mise en service ;

 Le contrôle est répété après deux ou trois ans ;